Conformité SOC 2 Type 2

En savoir plus

La sécurité de la Business intelligence est une priorité absolue

Nous sommes soucieux de construire une plateforme de données qui évolue avec la croissance exponentielle en volume et en demandes de données et satisfasse l'importance, la complexité et les besoins croissants de la sécurité des données.

Une architecture axée dès le départ sur la sécurité des données

La plateforme de données de Looker repose au-dessus de votre base de données existante, utilisant une connexion sécurisée pour interroger directement votre entrepôt de données. Looker écrit une requête afin d'accéder aux données nécessaires pour répondre à votre question, renvoie le résultat et dépose la réponse dans un cache temporaire (configurable).

Les administrateurs peuvent définir des permissions de façon granulaire par utilisateur ou par groupe, ainsi que restreindre l'accès aux données à un niveau allant de la base de données aux lignes ou aux colonnes.

Looker fournissant un point d'accès unique à vos données, vous pouvez établir une infrastructure de gouvernance robuste de business intelligence. Tous les utilisateurs de votre entreprise peuvent répondre à leurs propres questions, tout en réduisant au maximum l'éparpillement des données et en restreignant l'accès aux informations sensibles.

Conformité Soc2 Type 2  

En savoir plus

Analysez vos données en toute sécurité là où elles résident

Garantissez la sécurité de vos données en limitant leur mouvement.

Avec Looker, les requêtes sont directement effectuées dans votre base de données et non pas en déplacent et en extrayant vos données vers des workbooks, cubes, fichiers .csv, bases de données propriétaires ou ordinateurs. Ce différenciateur clé de Looker encourage l'intégrité des données tout en minimisant les mouvements de données et en restreignant l'accès aux informations sensibles.

Le niveau de cache entièrement configurable offre toute la puissance de traitement de votre base de données et de son modèle de sécurité, sans stocker les données à long terme.

Chiffrement de référence sur le marché et connexions sécurisées

Looker fait appel au chiffrement AES 256 bit pour sécuriser vos informations d'identification de connexion aux bases de données ainsi que les données en cache stockées au repos. De plus, nous utilisons TLS afin de chiffrer le trafic réseau entre les navigateurs des utilisateurs et la plateforme Looker. Il existe une multitude d'options pour sécuriser les connexions à votre base de données, dont la mise sur liste blanche d'adresses IP, de même que les authentifications SSL, SSH, PKI et Kerberos.

Authentification, contrôles des accès et gouvernance des données

La fonctionnalité de libre-service ne doit pas se faire aux dépens de la sécurité.

Authentification

Pour les entreprises qui ont investi dans des outils d'authentification d'utilisateur modernes, Looker prend en charge la double authentification et intègre avec LDAP et SSO (prise en charge de SAML, OneLogin, et Google Apps).

Contrôles des accès et gouvernance des données

Une approche multicouche de la gouvernance des données est essentielle pour les secteurs ayant des exigences de sécurité spécifiques et les entreprises avec RGPD  ou autres considérations de confidentialité.

Des contrôles d'accès granulaires fins sont intégrés au cœur de la plateforme de Looker et fournissent trois niveaux de gouvernance des données :

  1. Niveau modèle - Limite les modèles auxquels les utilisateurs ont accès, ce qui contrôle également les connexions aux bases de données.
  2. Niveau groupe - Limite le contenu auxquels les utilisateurs ont accès dans Looker.
  3. Niveau rôle - Paramètre les fonctions spécifiques et les données auxquels un individu a accès dans Looker.

Intégralement surveillé et entièrement auditable

Qui, quoi et quand

La plateforme de données Looker fournissant un point de contact unique pour les employés qui utilisent les données de votre entreprise, il est facile de surveiller l'activité des utilisateurs. La plateforme est dotée d'outils de surveillance intégrés et personnalisables, en plus de fonctions d'alerte pour des événements d'intérêt prédéfinis.

Développement de modèles dans Git

Le modèle de données Looker est inspiré des meilleures pratiques de développement logiciel et versionné dans Git. Cela rend possible la collaboration et l'itération avec la capacité de revenir à une version précédente si besoin est pour minimiser une erreur imprévue.

Trois façons dont Looker aide la conformité RGPD

Architecture

Une architecture transparente plus simple pour le traitement des données qui réduit l'éparpillement des données et répond aux exigences RGPD, tout en fournissant des capacités de livraison des données modernes et des informations essentielles pour assurer le succès de l'entreprise.

Produit

La plateforme de données Looker fournit de nombreuses fonctions produit pour vous aider dans la gestion, la mise en place et les traitements de données et vous aider à respecter les exigences du RGPD en matière de sécurité et de confidentialité des données.

Notre société

Le programme de sécurité des données Looker est conçu pour garantir que les politiques, contrôles et processus de l'entreprise sont adaptés au type de données personnelles et au traitement des données collectées.

Notre partenariat de sécurité partagée

Looker se connecte à la base de données de votre organisation et il est conçu pour laisser vos données dans cette base de données. Looker se connectant à une technologie dont vous êtes responsable, la sécurité devient une responsabilité partagée entre Looker et vous. Si vous utilisez les fonctions d'analytique embarquée (Powered by Looker), Looker a développé les meilleures pratiques de sécurité que vous pouvez utiliser pour aider à minimiser les soucis de sécurité.

Données d'application partagées par Looker

L'application Looker ne stocke pas vos données de manière permanente, mais Looker fait appel à plusieurs outils propriétaires et tiers pour fournir et améliorer le service.  Sauf indication, tous les services partagent des données avec les sites aux États-Unis.

Les services d'application contiennent :

Données de licences Service Looker qui recueille des informations sur l'utilisation du service afin de s'assurer qu'elle est en conformité avec les conditions régissant la licence du client. Ces informations incluent des métadonnées sur les utilisateurs, les rôles, les connexions aux bases de données, les paramètres de serveur, les fonctionnalités utilisées, l'utilisation d'API et la version.
Utilisation du produit Un service Looker et service tiers (Google Analytics 360) qui regroupe des données d'utilisation anonymisées  sur la façon dont les clients  utilisent le produit Looker et si celui-ci offre une performance satisfaisante. Ces données sont analysées et utilisées afin d'améliorer le produit Looker. Les administrateurs peuvent désactiver ces services pour leur version en contactant le service d'assistance.
Sauvegardes de la configuration Service Looker qui chiffre les sauvegardes de la configuration du système Looker, y compris les Looks enregistrés, l'historique des requêtes, les informations d'identification des utilisateurs et des bases de données chiffrées, ainsi que les paramètres utilisateur de Looker. Dans un souci de redondance, les sauvegardes de la configuration sont stockées sur plusieurs prestataires de service cloud y compris AWS, Google Cloud, et/ou Microsoft Azure.
Rapports d'erreurs système Service Looker transmettant les exceptions d'exécution aux systèmes internes de Looker afin que les techniciens de Looker puissent diagnostiquer les problèmes rencontrés avec le produit. Ces messages sont d'abord envoyés sous la forme de requêtes HTTPS, mais basculent si nécessaire au format e-mail en utilisant les paramètres SMTP Looker du client.
Accès du support Service Looker en option permettant aux techniciens de Looker de dépanner les problèmes en rendant possible leur authentification pour pénétrer dans l'application Looker d'un client. Cet accès se limite aux cas d'utilisation du support et peut être désactivé par les clients s'ils n'en ont pas l'utilité.
Data Actions Service Looker en option qui transmet les données vers plusieurs service tiers. Toutes les données que vos utilisateurs envoient en utilisant une action seront traitées momentanément sur le serveur Action Hub géré par Looker plutôt que dans votre instance Looker. https://docs.looker.com/admin-options/platform/actions
Notifications par e-mail Service tiers en option (SendGrid) qui transmet des e-mails, provenant des adresses noreply@looker.com et noreply@lookermail.com, pour envoyer des e-mails de bienvenue aux nouveaux comptes, des liens de réinitialisation en cas d'oubli de mot de passe et des livraisons de données planifiées pour les utilisateurs de Looker. Si vous le préférez, vous pouvez modifier cette configuration pour utiliser à la place votre propre intégration SMTP.
Stockage LookML Service tiers en option (GitHub) permettant le développement et le stockage du code LookML d'un client. Si vous le préférez, vous pouvez modifier cette configuration pour utiliser à la place votre propre intégration Git.
Guides dans l'application et messagerie intégrée au produit Service tiers en option (Pendo) livrant des messages personnalisés aux utilisateurs pour les aider à utiliser plus facilement le produit Looker. Ce service collecte des données d'utilisation anonymisées de base dans le but de personnaliser les messages et les guides. Les administrateurs peuvent désactiver ce service pour leur instance.
Chat d'assistance et tickets Service tiers en option (Zendesk) fournissant une messagerie instantanée intégrée afin de faciliter le support produit.

REMARQUE : nous passons régulièrement en revue nos services internes et nos fournisseurs de services tiers en vue de nous assurer que les données que nous collectons sont alignées sur l'objectif du service et que les mesures de sécurité employées répondent à nos rigoureuses normes de sécurité.

Les responsabilités de Looker

Sécurité du cloud Looker utilise des fournisseurs d'hébergement dans le cloud public établis pour ajouter au programme de sécurité Looker des mesures de sécurité supplémentaires et des contrôles de fonctionnement de disponibilité.
Sécurité du produit Looker a la responsabilité de s'assurer que le code de son application est développé conformément aux meilleures pratiques de l'ensemble du secteur en matière de développement logiciel et qu'il est régulièrement testé pour déceler les éventuelles vulnérabilités. 
Sécurité d'entreprise Looker a la responsabilité d'enseigner et de diffuser les meilleures pratiques de sécurité à l'échelle de son organisation, ainsi que de veiller à ce que ses systèmes, réseaux et applications auxiliaires soient configurés et surveillés de manière sécurisée.
Sécurité physique Il incombe à Looker la responsabilité de surveiller ses locaux, et de s'assurer que les bureaux et le matériel sont protégés.

Vos responsabilités

Sécurité du cloud

Vous êtes en charge de la configuration d'un accès sécurisé entre l'application Looker et votre base de données. Looker fournit des recommandations détaillées à ce sujet, parmi lesquelles :

  • Permettre un accès sécurisé à la base de données à l'aide d'outils comme la mise sur liste blanche d'adresses IP, le chiffrement SSL/TLS et le tunneling SSH
  • Configurer des permissions de comptes de bases de données les plus restreintes pour Looker tout en lui permettant de réaliser les fonctions requises

Sécurité du produit

Vous êtes également responsable du contrôle de l'accès et des permissions pour les utilisateurs de votre instance de Looker au sein de votre entreprise. Looker recommande les mesures suivantes :

  • Configuration de l'authentification utilisateur à l'aide d'une option native de nom d'utilisateur/mot de passe, ou de préférence, à l'aide d'un mécanisme d'authentification plus robuste comme 2FA, LDAP, Google OAuth ou SAML
  • Configuration des permissions et accès au contenu les plus restrictifs pour les utilisateurs, tout en leur permettant de réaliser leur travail et en prêtant une attention particulière aux personnes qui disposent des privilèges d'administrateur
  • Configuration de toute utilisation d'API de manière sécurisée
  • Audit régulier de tous les liens d'accès public créés par vos utilisateurs et restriction de la permission de les créer, selon les besoins

Architecture de sécurité cloud

Looker héberge son application Looker sur des clouds publics éprouvés. Ainsi, en tant que client Looker, vous hériterez des robustes normes de sécurité cloud propres à nos partenaires cloud (actuellement AWS et Google Cloud), sur lesquelles Looker s'appuie en plus de ses propres pratiques de sécurité. Looker respecte également les meilleures pratiques du secteur pour développer et tester son application, en s'assurant que la qualité du code répond à notre cahier des charges avant de l'intégrer à une version de Looker.

Infrastructure cloud
Établissements cloud public L'application Looker est gérée dans des centres de données de cloud public. Ces structures mettent en place divers contrôles physiques et environnementaux pour garantir que les données des clients Looker sont bien protégées de toute perte ou vol éventuel.
Séparation logique des données Si Looker ne conserve pas les informations sur les bases de donnée des clients, l'application conserve les informations sur la configuration, données événementielles et résultats de requête en cache. Looker est structuré de façon à séparer logiquement ces informations pour isoler les données des clients et réduire les risques d'exposition d'un environnement à un autre.
Architecture de sécurité des données Looker respecte les meilleures pratiques en matière d'architecture de sécurité. Des serveurs proxy sécurisent l'accès à l'application Looker en fournissant un point unique pour filtrer les attaques via la mise sur liste noire d'adresses IP et la limitation de la vitesse de connexion.
Redondance Looker utilise une infrastructure de sauvegarde distribuée reposant sur le cloud pour les serveurs clients hébergés par ses soins.
Disponibilité et durabilité L'application Looker peut être hébergée dans une multitude de centres de données de cloud public différents à travers le monde.
Surveillance et authentification
Accès aux serveurs back-end d'un client L'accès à un environnement back-end hébergé par Looker nécessite une approbation et plusieurs couches d'authentification.
Accès à l'application Looker d'un client L'accès des employés aux instances client de Looker est fourni afin de répondre aux besoins d'un client. L'accès nécessite une approbation et plusieurs couches d'authentification. De plus, les clients peuvent contrôler tous les accès à leur application à partir de Looker par l'intermédiaire d'une fonction d'activation/de désactivation du support.
Surveillance de l'accès des utilisateurs Les accès à votre environnement Looker sont identifiés de manière unique, consignés et surveillés. 
Analyse de la vulnérabilité du réseau et de l'application Au moins une fois par mois, l'application front-end et l'infrastructure back-end de Looker sont analysées pour détecter la présence de vulnérabilités de sécurité connues.
Consignation centralisée Dans l'ensemble des environnements de production et d'entreprise de Looker, des journaux sont collectés et stockés de manière centralisée pour surveiller et alerter sur les éventuels événements de sécurité.
Surveillance de la réputation/veille des menaces Les journaux collectés et l'activité du réseau sont vérifiés par rapport aux flux commerciaux de veille des menaces pour détecter les risques potentiels.
Détection des anomalies Les activités anormales comme les authentifications imprévues déclenchent des alarmes.
Chiffrement de sécurité des données
Chiffrement AES Les données sensibles de l'application stockées en local, notamment les configurations de connexion aux bases de données et les données de requêtes en cache, sont chiffrées et sécurisées par chiffrement AES.
Stockage et chiffrement sécurisés des informations d'identification Les noms d'utilisateur et les mots de passe natifs sont sécurisés au moyen d'une fonction de dérivation de clé basée sur les mots de passe dédiée (bcrypt) avec hachage et salage.
Chiffrement TLS Les données en transit sont chiffrées et sécurisées via TLS 1.2 entre le navigateur de l'utilisateur et l'application.
Chiffrement SSL/SSH Looker vous permet de configurer votre connexion à la base de données via TLS 1.2 ou SSH chiffré.

Sécurité du produit

Vue d'ensemble
Développement du code Le développement du code s'effectue via un processus SDLC documenté qui inclut des conseils sur la façon dont le code est testé, vérifié et basculé en production.
Vérification par des pairs et test unitaire de code Le code fait l'objet d'une vérification par des pairs avant sa validation dans la branche de code maître de l'application Looker. Des tests fonctionnels et unitaires sont effectués au moyen d'outils automatisés.
Formation régulière des développeurs Les développeurs sont régulièrement formés aux pratiques de codage sécurisé.
Tests de qualité du code Looker se sert de tests automatisés qui ciblent spécifiquement les failles d'injection, la validation des entrées et l'utilisation appropriée de jetons CSRF.
Tests réguliers d'intrusion par des tiers Looker réalise régulièrement des tests d'intrusion par des tiers sur l'environnement hébergé et l'application Looker.
Authentification unique Looker fournit aux utilisateurs une authentification unique basée sur SAML, qui supporte les solutions SSO à partir de Google Apps, OneLogin et SAML.
Authentification LDAP Looker permet d'authentifier les utilisateurs sur la base du protocole LDAP (Lightweight Directory Access Protocol), ce qui permet aux administrateurs de lier des groupes LDAP aux rôles et permissions Looker.
Double authentification Looker permet d'utiliser la double authentification via Google Authenticator.
Divulgation responsable Looker croit en l'importance de la communauté impliquée dans la sécurité et opère à cet effet un programme de divulgation responsable destiné à faciliter le signalement des vulnérabilités de sécurité.
Audit de sécurité préalable des prestataires de services tiers Tous les prestataires de services tiers doivent faire l'objet d'un examen annuel de la sécurité. Pour les guides dans l'application, Looker sert du code JavaScript au logiciel tiers (Pendo). Les guides individuels sont validés et placés en liste blanche par Looker. Lors de la récupération d'un guide à partir de Pendo, Looker vérifie que le guide n'a pas été modifié au moyen de hachages d'intégrité sha256. En cas de modification du guide après la vérification de Looker, Looker empêche l'utilisation du guide en question.

Sécurité d'entreprise

Looker a mis en place des protocoles de sécurité robustes destinés à sécuriser ses bureaux et les documents contenant des informations sensibles. Looker investit également dans la validation et la formation du personnel pour veiller à ce que la sécurité des données soit une préoccupation globale à l'échelle de l'organisation. 

Pour en savoir plus sur la façon dont nous utilisons vos données, veuillez consulter la Politique de confidentialité de Looker.

Personnel et tierces parties
Organisation de la sécurité Sous la responsabilité du directeur de la sécurité, Looker a établi une fonction dédiée à la sécurité de l'information, avec pour responsabilité la sécurité et la conformité des données au sein de l'organisation.
Politiques et procédures Looker a mis en place plusieurs politiques de sécurité qui sont établies, communiquées et approuvées par la direction dans le but de s'assurer que tout le monde connaisse clairement ses responsabilités en termes de sécurité.
Vérifications des antécédents Les nouveaux contractuels et employés doivent se soumettre à une vérification des antécédents et signer des accords de confidentialité.
Sensibilisation à la sécurité Les nouveaux employés de Looker suivent une formation à la sécurité dans le cadre de leur formation initiale au sein de l'entreprise. Les employés bénéficient régulièrement d'une formation de sensibilisation à la sécurité et confirment leur respect des politiques de sécurité de l'entreprise. Les bonnes pratiques en matière de sécurité sont rappelées aux employés de Looker par le biais de communications formelles et informelles.
Gestion des fournisseurs Looker a mis en place un programme de gestion des fournisseurs qui permet de s'assurer que les tierces parties respectent le niveau escompté en termes de contrôles de sécurité.

Gestion des risques Looker a mis en place un programme exhaustif de gestion des risques de sécurité. Chaque trimestre, notre directeur de la sécurité préside notre comité interne de pilotage de la sécurité.

Réponse aux incidents
Disponible en permanence L'équipe Sécurité et opérations de Looker est disponible 24h/24 et 7 jours/7 afin de répondre aux alertes et événements de sécurité.
Politiques et procédures Looker maintient un plan de réponse aux incidents bien documenté.
Formation à la réponse aux incidents Les employés sont formés aux processus de sécurité en termes de réponse aux incidents, notamment en ce qui concerne les canaux de communication et les procédures de signalement.
Sites et matériel de Looker
Surveillance et accès sécurisé aux bureaux de Looker  Les bureaux de Looker sont protégés par des mesures de sécurité incluant l'accès par badge et la vidéosurveillance. Conformément à notre politique, des employés doivent impérativement escorter les visiteurs à l'intérieur des bureaux de Looker.
Protection des ordinateurs portables Looker utilise une combinaison d'outils de gestion des points de terminaison pour surveiller, corriger et protéger son parc d'ordinateurs portables. Les ordinateurs portables possèdent des disques durs chiffrés, protégés par un mot de passe d'authentification. En outre, une solution AV/HIDS est installée sur les ordinateurs portables de façon à les protéger contre les programmes malveillants et à repérer les éventuels événements de sécurité.

Sécurité des données, confidentialité et conformité

Les pratiques de sécurité de Looker ont pour priorité de veiller à ce que vos données soient utilisées de manière transparente, sécurisée et respectueuse. À cet effet, Looker dispose d'une équipe Conformité qui procède régulièrement à des évaluations. Cette équipe s'assure également que les risques sont réduits de façon appropriée, et que les contrôles sont conçus et réalisés correctement. 

Veuillez consulter la Politique de confidentialité de Looker si vous ne trouvez pas de réponse à votre question ici.

Sécurité des données et conformité
SOC 2 de type II Le rapport SOC 2 de type II de Looker couvre les catégories de services de confiance suivantes : Sécurité, Confidentialité et Disponibilité. Il fait, par ailleurs, l'objet d'un audit tous les ans. Ce rapport est consultable, sur demande, par les clients existants et les nouveaux prospects. En raison de la confidentialité des informations, nous demandons de signer une déclaration de confidentialité pour consulter le rapport. Remarque : si notre rapport SOC 2  Type II actuel couvre uniquement nos clients hébergés dans l'environnement AWS, nous travaillons actuellement sur le rapport SOC 2 Type pour notre nouvel environnement Google Cloud. Notre rapport SOC 2 Type I est actuellement disponible pour l'environnement Google Cloud.
Sécurité HIPAA Looker compte parmi ses clients des entités et des partenaires commerciaux assujettis à la loi HIPAA régissant l'assurance maladie américaine. Puisque Looker n'extrait pas vos données, il ne les catégorise pas en renseignements de santé personnels, informations sensibles ou autres catégories. Au lieu de cela, Looker gère toutes les données en fonction des mêmes normes de sécurité. Pour fournir une assurance HIPAA, Looker s'engage avec un tiers à effectuer des audits de sécurité réglementaires HIPAA annuels. Pour vous aider à assumer vos obligations de sécurité par rapport à la loi HIPAA, Looker maintient un accord de partenaire commercial (BAA) exécutable sur demande.
Évaluation STAR de la Cloud Security Alliance (CSA) Looker a rempli le questionnaire CAIQ (Consensus Assessments Initiative Questionnaire) de la CSA. Celui-ci fournit un ensemble de questions qu'un client cloud peut vouloir poser à Looker afin de confirmer sa conformité aux matrices de contrôles cloud et aux meilleures pratiques de la CSA. Il peut être téléchargé ici et sera mis à jour périodiquement.
Certificats ISO 27001   Looker a obtenu le certificat de conformité ISO 27001, qui peut être visionné dans notre portail de conformité, avec clause de non divulgation. Avec l'audit de norme ISO 27001, nous démontrons notre engagement à identifier les risques et à mettre en place des contrôles robustes et répétés qui garantissent que notre organisation maintient une position sécurisée.
Autres initiatives en matière de conformité de la sécurité Looker peut également vous aider dans vos efforts de conformité PCI. Contactez votre représentant commercial pour obtenir plus d'informations.
Confidentialité des données
Conforme à la protection des données européenne et RGPD et Bouclier de confidentialité Looker travaille en collaboration étroite avec de nombreuses organisations fondées sur les données au sein de la zone économique européenne et soutient le RGPD sur trois points : architecture, produit et préparation de la société.

Nous travaillons avec vous pour garantir la conformité des bases de données aux exigences de traitement de données personnelles et exigences de transfert transfrontalier dans le cadre du RGPD (Règlement Général de Protection des Données), effectif en mai 2018.
Autres initiatives de confidentialité et conformité Looker vise à se conformer avec le CCPA (California Consumer Privacy Act) de 2018, qui prendra effet en janvier 2020. Selon la définition actuelle du CCPA, Looker fonctionne comme un prestataire de service (et non pas comme un tiers) pour ses clients.
Déterminez le lieu d'hébergement de Looker Looker propose un certain nombre d'emplacements où votre application Looker et les sauvegardes de configuration peuvent être hébergées. Cela couvre les États-Unis, le Japon, l'Irlande, l'Allemagne, l'Australie ou le Brésil.